企业反钓鱼演练应如何组织与实施？

演练目的是提升人员识别能力而非「抓坏人」，需先明确范围与风险等级。

• 按对象分级：全员基础演练、财务/高管定向（鲸钓）、IT/运维高权限组专项。
• 按场景分级：凭证钓鱼、恶意附件、二维码钓鱼、冒充高管（BEC）。
• 提前向安全/合规与HR报备，明确「不处罚、只辅导」的基调，避免合规与信任风险。

模拟邮件尽量贴近真实但不得造成实际危害。

• 使用独立的演练平台（如 GoPhish），发件域用自有测试子域，避免污染主域声誉。
• 落地页仅收集「是否点击/是否提交」标记，绝不真正记录账号口令明文。
• 主题贴合时事与业务（发票、密码到期、会议邀请），控制单次发送量避免误判为真实攻击。

用可量化指标衡量基线并跟踪改进。

• 打开率、点击链接率、提交凭证率、报告率（是否被员工主动举报）。
• 高危人群（点击且提交）按部门/角色分层，定位培训重点。
• 与历史批次对比，目标应是点击率下降、报告率上升。

演练价值在于即时反馈与持续改进。

• 点击者在数分钟内收到「这正是钓鱼」的辅导页，而非惩罚。
• 对高报告率员工给予正向激励，培育安全文化。
• 每季度复测，将演练结果纳入安全意识年度评估并修订预案。